DNS의 작동 원리와 위험

도메인 이름 시스템(DNS)은 example.com과 같은 사람이 읽기 쉬운 이름을 93.184.216.34와 같은 IP 주소로 변환합니다. 거의 모든 네트워크 통신은 DNS 조회로 시작하므로 DNS는 가치가 높은 공격 대상입니다.

공격자가 이름 해석을 장악하거나 조작하면 애플리케이션 자체에는 손대지 않고도 피해자를 악성 서버로 몰래 전환하고, 트래픽을 가로채거나 데이터를 빼돌릴 수 있습니다. 이름 해석 경로를 이해하는 것이 이를 방어하는 첫 단계입니다.

일반적인 재귀 조회는 다음 서버의 연결을 따라갑니다:

• 클라이언트의 스텁 해석기(OS).
• 실제 조회 작업을 수행하는 재귀 해석기(사용 중인 ISP 또는 8.8.8.8).
• TLD 서버를 안내하는 루트 서버.
• 권한 있는 서버를 안내하는 TLD 서버(예: .com).
• 실제 레코드를 보유한 권한 있는 서버.

각 단계는 가로채기나 사칭이 발생할 수 있는 지점입니다.

재귀 해석기는 클라이언트를 대신해 참조를 따라가며 모든 질의에 응답하고 결과를 캐시에 저장합니다. 권한 있는 서버는 자신이 관리하는 영역에 대한 질의에만 확정적인 데이터로 응답합니다.

보안 측면에서 공개 재귀 해석기는 증폭 공격에 악용될 수 있고, 권한 있는 서버는 영역 탈취와 등록기관 침해의 대상이 됩니다. 재귀 기능은 자체 네트워크로 제한하십시오.

분석 중 접하게 될 레코드입니다:

• A / AAAA — IPv4 / IPv6 주소.
• CNAME — 다른 이름으로 연결되는 별칭입니다. 하위 도메인 탈취로 이어질 수 있는 연결 끊긴 CNAME에 주의하십시오.
• MX — 메일 서버입니다.
• NS — 권한 있는 서버로 위임합니다.
• TXT — 자유 형식 텍스트로, SPF와 DKIM에 사용되며 터널링에 악용되는 경우도 많습니다.

기존 DNS는 UDP 포트 53을 통해 동작하며, 대규모 응답과 영역 전송에는 TCP 53으로 대체됩니다. UDP는 연결이 없고 상태를 유지하지 않으므로, 응답자가 자신이 주장하는 당사자인지 증명하는 연결 설정 절차가 없습니다.

질의와 응답을 연결하는 유일한 정보는 16비트 트랜잭션 ID와 출발지 포트입니다. 이렇게 연결이 약하기 때문에 사칭과 캐시 중독이 발생합니다.

해석기의 부하를 줄이기 위해 해석기는 레코드의 TTL(수명) 동안 응답을 캐시에 저장합니다. TTL이 3600인 응답은 한 시간 동안 캐시에 남습니다.

캐싱은 양날의 검입니다. 성능을 향상시키지만, 중독된 응답 하나가 TTL이 만료될 때까지 많은 피해자에게 제공될 수 있습니다. 공격자는 악성 항목을 오래 유지하기 위해 긴 TTL을 설정하려고 하는 경우가 많습니다.

DNS는 다양한 공격 지점을 노출합니다:

• 통신 경로상 사칭 — 정상 서버보다 빠르게 응답을 위조합니다.
• 캐시 중독 — 잘못된 레코드를 해석기의 캐시에 주입합니다.
• 등록기관 / 영역 탈취 — 도메인 자체에 대한 통제권을 빼앗습니다.
• 터널링 — 외부 송신 통제를 우회하기 위해 질의 안에 데이터를 인코딩합니다.
• DDoS 증폭 — 공개 해석기를 반사기로 악용합니다.

일반 DNS는 무결성이나 진위에 대한 보장을 제공하지 않습니다. 응답은 출발지 IP, 대상 포트, 질의 이름, 트랜잭션 ID가 일치하면 신뢰됩니다. 이 모든 값은 통신 경로상의 공격자가 추측하거나 관찰할 수 있습니다.

이 설계 가정(네트워크를 신뢰할 수 있다는 가정)이 DNSSEC, TLS를 통한 DNS(DoT), HTTPS를 통한 DNS(DoH)와 같은 추가 보호 기능이 존재하는 이유입니다.

공격자는 공격에 앞서 DNS를 열거하여 조직의 자산 구성을 파악합니다. 잘못 구성된 영역 전송(AXFR)은 모든 레코드를 통째로 유출할 수 있습니다. 하위 도메인 무차별 대입과 인증서 투명성 로그를 통해 숨겨진 호스트가 드러납니다.

방어자는 영역 전송을 알려진 보조 서버로 제한하고, 열거를 나타내는 대량 질의 패턴을 모니터링해야 합니다.

TLS를 통한 DNS(포트 853)와 HTTPS를 통한 DNS(포트 443)는 질의를 암호화하므로 통신 경로상의 관찰자가 이를 읽거나 변조할 수 없습니다. 이를 통해 사칭을 줄이고 개인정보를 보호할 수 있습니다.

방어자에게는 다음과 같은 상충 관계가 있습니다. 암호화된 DNS로 인해 자체 필터링과 모니터링에 사각지대가 생길 수 있습니다. 많은 기업은 단말이 외부 해석기를 선택하도록 두는 대신 클라이언트를 관리되는 DoH/DoT 해석기에 고정합니다.

이름 해석 경로를 실질적으로 강화하는 방법입니다:

• 내부 재귀 해석기를 운영하고 인터넷으로 나가는 포트 53의 직접 연결을 차단하십시오.
• 권한 있는 서버에서 공개 재귀 기능을 비활성화하십시오.
• AXFR 영역 전송을 제한하고 기록하십시오.
• 등록기관에서 도메인을 잠그십시오(레지스트리 잠금, MFA).
• 터널링과 열거를 탐지하기 위해 질의량과 엔트로피를 모니터링하십시오.

DNS가 노출되는 이유에 대한 이해도를 확인해 보십시오.

DNS 해석은 스텁 해석기에서 시작해 루트 서버, TLD 서버, 권한 있는 서버를 거치는 연결을 따라가며, 응답은 TTL에 따라 캐시된다는 것을 배웠습니다. 기존 DNS는 UDP/53을 사용하고 인증이 없으므로 사칭, 캐시 중독, 탈취, 터널링, 증폭 공격에 노출됩니다.

핵심 방어책은 재귀 기능 폐쇄, 제한된 영역 전송, 등록기관 잠금, 암호화된 전송(DoT/DoH), DNSSEC입니다. 다음으로 사칭과 캐시 중독을 자세히 살펴보겠습니다.